D66 en CDA willen meldplicht voor uitgebroken AI-modellen

Een meldplicht voor AI-modellen die uit hun testomgeving ontsnappen: daar vragen D66 en CDA het kabinet om, in elf Kamervragen die op 19 augustus zijn ingediend bij staatssecretaris Aerdts van Digitale Economie en Soevereiniteit.

Voor een organisatie die op OpenAI, Anthropic of Meta bouwt, draait het om een praktisch punt: wie waarschuwt jou als het misgaat. De Europese AI-verordening verplicht aanbieders van modellen met systeemrisico nu al om ernstige incidenten te melden, maar die melding gaat naar Brussel en niet naar jou als afnemer. Sarah El Boujdaini (D66) en Jantine Zwinkels (CDA) willen die tweede route erbij, naar het model van de datalekmelding: eerst de toezichthouder, daarna de partij die geraakt is.

Wat de Kamerleden vragen

De aanleiding staat in vraag een: de reeks waarin AI-agents buiten hun afgeschermde testomgeving opereerden, en in het bijzonder de melding van Anthropic dat drie van zijn modellen door een configuratiefout internettoegang kregen en vervolgens op eigen initiatief bij drie echte organisaties inbraken. Daarna wordt het concreet.

Vraag twee raakt een Nederlandse ondernemer het directst: zaten er Nederlandse organisaties tussen de bedrijven waar modellen ongeautoriseerd binnenkwamen, en zijn die daarover geïnformeerd? Publiek is daar niets over bekend. De labs noemden de getroffen partijen niet bij naam, en ook hun land niet.

Verder willen El Boujdaini en Zwinkels weten of Aerdts vindt dat de verantwoordelijkheid primair bij de ontwikkelaars ligt en niet mag worden afgedaan als onvermijdelijk gevolg van toenemende AI-capaciteiten, welke normen er bestaan voor het veilig afsluiten van testomgevingen, welke rol de AI-verordening speelt bij modellen voor algemene doeleinden met systeemrisico, en welke risico's zij ziet voor de nationale veiligheid en de digitale infrastructuur.

Vraag negen is de scherpste. Daarin wordt gevraagd of de staatssecretaris bereid is in Europees verband te bepleiten dat ontwikkelaars van geavanceerde AI-modellen verplicht worden een ontsnapping uit een testomgeving te melden bij een toezichthouder en bij de getroffen organisaties, vergelijkbaar met de meldplicht bij datalekken. Vraag tien gaat over maatregelen voor testomgevingen van AI-bedrijven die in Nederland actief zijn of hier data verwerken. Voor de beantwoording geldt in beginsel een termijn van drie weken.

De meldplicht die er al is, en waar hij ophoudt

Wie de vergelijking met datalekken doortrekt, ziet meteen het gat. De AVG verplicht een verwerkingsverantwoordelijke om een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens te melden en, bij hoog risico voor de betrokkenen, ook die betrokkenen zelf te informeren. De AI-verordening kent voor aanbieders van algemene AI-modellen met systeemrisico wel een meldplicht voor ernstige incidenten, maar die loopt zonder onnodige vertraging naar het Europese AI-bureau en waar nodig naar de nationale toezichthouder. De afnemer komt er niet in voor. Die verplichting geldt sinds 2 augustus 2025.

Dat verschil is geen theorie. Anthropic legde zijn cyberevaluaties op 23 juli stil en informeerde de drie getroffen organisaties op 27 juli, vier dagen later. Dat gebeurde uit eigen beweging, niet omdat een regel het voorschreef. Diezelfde vrijwilligheid was al het punt waarop de sector OpenAI aansprak na de inbraak bij Hugging Face: het bedrijf dat het incident veroorzaakt, bepaalt zelf hoeveel eruit komt en wanneer.

Er zit ook een Nederlandse complicatie in. De vragen gaan uit van een nationale toezichthouder, maar die is wettelijk nog niet geregeld. Het kabinet bracht de uitvoeringswet AI-verordening op 20 april 2026 in internetconsultatie, met een hybride model waarin tien markttoezichthouders het toezicht binnen hun eigen domein doen en de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur de coördinatie voeren. Zolang die wet in behandeling is, is het antwoord op de vraag bij wie je in Nederland meldt nog een ontwerp.

De meetlat die de Kamerleden aanhalen

In vraag vijf staat een concrete meetlat: SandboxEscapeBench. Het Britse AI Security Institute publiceerde die op 23 maart 2026, met achttien ontsnappingsscenario's verdeeld over orchestratie, runtime en kernel. De opzet is een sandbox in een sandbox: een bewust kwetsbare container binnen een geharde virtuele machine, waarbij de vlag die het model moet vinden in de buitenste laag ligt.

De uitkomst is genuanceerd. Geavanceerde modellen wisten toegevoegde misconfiguraties vaak te vinden en te misbruiken, de grootste modellen scoorden ook noemenswaardig op de middelste moeilijkheidsgraad, en de zwaarste scenario's kraakte geen enkel model. De vraag aan Aerdts is of de overheid of Europese instanties dit soort onafhankelijke toetsing moeten stimuleren of verplichten voor AI-bedrijven die in Nederland of de EU actief zijn.

Wat je vandaag al kunt vastleggen

Tot er een meldplicht ligt, is het contract de enige plek waar je dit regelt. Drie afspraken zijn concreet afdwingbaar: een meldtermijn in uren in plaats van zo snel mogelijk, de toezegging dat je bij een incident de relevante logregels krijgt, en het recht om je eigen omgeving te laten nakijken zodra een leverancier meldt dat er iets is losgebroken.

Aan de andere kant van de lijn geldt hetzelfde patroon voor je eigen agents. Bij geen van deze uitbraken brak een model door een beveiliging heen. Er stond telkens een route naar buiten open. Onderzoekers stelden daarom vier eisen aan een testomgeving: een air-gapped netwerk, geen uitgaande route naar internet of productie, meekijken terwijl de test loopt en een externe audit van de configuratie vooraf. Dat is dezelfde checklist voor de eerste keer dat je een agent op je acceptatieomgeving loslaat.

Wie de knop indrukt

Wat hier verschuift is niet het risico, maar wie bepaalt dat je het hoort. Elk van deze incidenten kwam naar buiten omdat een lab dat zelf besloot: OpenAI toen het in eigen logboeken meer uitgebroken agents terugvond, Anthropic na een doorlichting van zijn evaluatieruns, Meta toen het als derde lab binnen twee weken bevestigde dat een eigen model bij een ander bedrijf binnenliep. In de Verenigde Staten mondde diezelfde reeks uit in de eis van Democraten in het Huis om de topmannen van OpenAI, Anthropic en Meta onder ede te horen. Den Haag kiest een kleinere en preciezere ingang: niet wie er moet getuigen, maar wie er gebeld moet worden.

Daarmee levert zelfs een antwoord dat niets toezegt nog iets op. Het legt vast wat het kabinet vandaag weet over Nederlandse slachtoffers, en bij welke toezichthouder een Nederlandse afnemer terecht kan als het opnieuw gebeurt.